Contenidos
El robo a Binance, valorado en más de 6.300 millones de dólares, empezó con una falsa entrevista de trabajo a uno de sus ingenieros. Así lo explica la propia compañía en un primer informe sobre el ataque, publicado este martes. La mayor plataforma de criptomonedas del mundo describe una campaña de varios meses y en múltiples fases. Además, se hace eco de las conclusiones del FBI, que señalan a Corea del Norte como responsable. El golpe ha sido calificado como el mayor robo sufrido por el sector de las criptomonedas.
«Esto no debería haber ocurrido, y pedimos disculpas por la preocupación, las interrupciones y la incertidumbre que esto ha causado a nuestros usuarios, socios y al sector en general», comienza el comunicado. Hasta ahora, la plataforma apenas había dado explicaciones. Solo había mencionado el ordenador comprometido de un empleado y «otros puntos de intrusión adicionales».
Una herramienta manipulada, el primer paso del robo a Binance
Según la empresa, los atacantes dedicaron meses a estudiar la compañía. También identificaron a empleados clave y prepararon la operación con cuidado. La primera etapa se remonta a junio de este año. Entonces, un ingeniero de software buscó en un motor de búsqueda una herramienta de programación basada en inteligencia artificial.
Al intentar instalarla, descargó por accidente una «versión manipulada de Homebrew». El equipo de seguridad detectó la anomalía, reemplazó el dispositivo y renovó todas las credenciales asociadas. Sin embargo, aquel episodio dio a los atacantes información valiosa sobre la estructura interna de la plataforma. Por ejemplo, pudieron saber qué empleados desarrollaban los sistemas y quién gestionaba los monederos digitales. Con ese conocimiento, el robo a Binance empezó a tomar forma.
La falsa entrevista de trabajo de septiembre
El segundo episodio ocurrió en septiembre. Otro ingeniero, identificado en el comunicado como «Ingeniero B», recibió un mensaje a través de una plataforma de búsqueda de empleo. Quien le escribió se hacía pasar por director de proyectos. El ingeniero tenía allí un perfil donde mencionaba su experiencia en Binance.
El supuesto directivo organizó primero una entrevista con un empleado de recursos humanos. Esa persona compartió perfiles en redes sociales, fotografías y vídeos personales para generar confianza. Después llegó una segunda entrevista, por una aplicación de mensajería, con alguien que decía ser consejero delegado de una empresa ficticia. Al final de esa charla, le pidió al ingeniero que descargara en su ordenador de trabajo una supuesta tarea técnica.
En realidad, el archivo contenía código malicioso. Durante la instalación, el programa realizó varias actividades no autorizadas. Aun así, las herramientas de seguridad de la compañía no lo detectaron. De ese modo, los intrusos pudieron moverse dentro de los sistemas informáticos. Además, borraron pruebas y ocultaron su actividad, lo que dificultó la detección del robo a Binance y la investigación posterior. El informe también menciona software oculto en un anuncio publicitario como otra vía usada para comprometer equipos.
Así se ejecutó el robo a Binance
Nueve días antes del golpe, los atacantes usaron el ordenador del empleado engañado para entrar en los equipos de otros dos ingenieros. Ambos gestionaban los monederos digitales de la plataforma. Para lograrlo, recurrieron a una herramienta interna de inteligencia artificial. Esos dos trabajadores no fueron elegidos al azar: uno de ellos era el afectado por la descarga de junio.
El robo a Binance se consumó el 29 o el 30 de octubre, según la versión. El atacante aprovechó un acceso no autorizado de firma de transacciones. Así, ejecutó operaciones fuera del proceso habitual de retirada de fondos. Las salidas principales se produjeron entre las 21:05 y las 21:09, hora española.
En ese lapso, los hackers enviaron 233,46 millones de XRP a una dirección bajo su control. También se llevaron 970.500 unidades de Solana, tokens de Optimism y 18.270 bitcoins. La alerta interna ya había saltado y la empresa «inició una investigación de inmediato». Sin embargo, eso no bastó para frenar las retiradas, que funcionaban por un sistema paralelo. «La última transferencia no autorizada, por un importe de 2.961,9 ethereums, se completó en la cadena» pasada la medianoche, detalla la compañía.
Los fondos sustraídos estaban en los llamados monederos calientes o «hot wallets», conectados a la red. En cambio, los monederos fríos, sin conexión y custodiados por empresas de seguridad, no resultaron afectados.
Corea del Norte y el grupo Lazarus, en el foco de la investigación
«La investigación preliminar indica que se trató de una campaña sofisticada y de múltiples fases. Esto no fue un solo error o una sola brecha: fue una campaña de varios meses», afirmó Richard Teng, CEO de Binance. Por su parte, el informe enumera las técnicas combinadas. Entre ellas figuran falsas entrevistas, descargas de software malicioso, herramientas internas de IA comprometidas y vulneración de dispositivos.
Las firmas de análisis de blockchain TRM y Chainalysis, igual que el FBI, señalan como autor del robo a Binance al grupo norcoreano Lazarus Group, también conocido como TraderTraitor. Corea del Norte lo ha negado. En tanto, la plataforma afirma haber frustrado este año 57 ataques presuntamente originados en ese país. «Estos intentos reflejan la amenaza persistente que representan los actores respaldados por estados, los cuales tienen como objetivo la industria de las criptomonedas», sostiene el comunicado.
Según Chainalysis, estos hackers robaron 2.020 millones de dólares en criptomonedas en 2025, un 51% más que el año anterior. Su ataque más conocido fue la sustracción de 1.400 millones a la plataforma Bybit en 2025. Además, la firma advierte sobre la táctica empleada: «Los actores vinculados a Corea del Norte están logrando cada vez más este tipo de golpes de gran magnitud mediante la infiltración de trabajadores informáticos en empresas del sector».
Reintegro de fondos y más seguridad tras el robo a Binance
Binance asegura que asumirá el reintegro de todo el dinero sustraído y que ya reservó «los fondos necesarios». Con fecha del 31 de octubre, sostiene haber «repuesto el 98% de los activos afectados» con recursos propios y su fondo de reservas. Desde el ataque, también restableció las retiradas de fondos. En tanto, los activos congelados o interceptados, en parte por socios como Tether y Circle, suman entre 2.800 y 2.850 millones de dólares.
El objetivo es limitar la salida de dinero de los clientes. Según estimaciones publicadas tras el ataque, esas retiradas rondarían los 4.700 millones de dólares. Por otra parte, la empresa contratará una auditoría independiente para revisar a fondo el incidente.
La compañía también detalló cambios internos después del robo a Binance. «También hemos implementado controles más estrictos sobre los dispositivos, mejorado los controles de riesgo en los servicios de monederos (wallets) y ampliado los sistemas de detección de anomalías de comportamiento basados en inteligencia artificial», explica. De cara al futuro, promete reforzar «su independencia en seguridad cibernética» y aumentar «el gasto y la inversión en seguridad vinculada con inteligencia artificial».